pfSense als VPN-Server an -Client: zwee Weeër, een Router

Een Apparat kann op eemol an zwou Richtunge kucken: roaming Benotzer verbannen sech eran, an déiselwecht Këscht verbënnt sech eraus bei en Ausgangsprovider, sou datt den ausgewielten Traffic iwwer en anert Netzwierk erausgeet. Béid Servicer aschalten dauert Minutten; se niewenteneen ze bréngen erfuerdert en Design, well déi zweet Roll déi Routingstabelle iwwerschreift, op déi déi éischt sech stützt. Dräi Konditioune entscheeden, ob d’Arrangement fonctionnéiert, nämlech ob de ageenden Déngscht säin eegene Retourwee behält, ob den ausgängegen Tunnel säi Partner nach erreecht, an ob den Traffic, deen Dir wëllt virunschécken, fir den Ausgang ausgewielt gëtt. Ee falsch, an Dir kritt zwee Tunnelen, déi allebéid verbonnen mellen, während näischt Nëtzlech tëschent hinne fiert. D’Kontrollen hei ënnen etabléieren all Konditioun an der Rei, an där d’Feeler sech normalerweis weisen.

Nennt déi zwou Rolle virdrun, ier Dir eng Astellung beréiert

Schreift véier Fakten op pro Instanz: hire wäite Partner, säin Authentiséierungsmaterial, de Pool u Adressen, deen et vergëtt, an d’Netzwierker hannendrun. Déi zwou Instanzen si separat Objeten op dem Apparat a sollten dat och an Ären Notizen bleiwen. Bal all konfus Symptom méi spéit kënnt dovun, datt hir Wäerter gemëscht ginn, an zwou Instanzen, déi een Set Notizen deelen, sinn de Wee, wéi de falsche Pool an dat falscht Feld kënnt.

Den ageenden Déngscht brauch en Tunnelsnetzwierk, dat sech net mat den Adressen vum ausgängegen Tunnel oder engem private Netzwierk, dat den Apparat routéiert, iwwerschneit. Iwwerschneidung ass dee eenzege Feeler, deen a béide Rollen zur selwechter Zäit Symptomer produzéiert, an et ass vill méi bëlleg, en um Pabeier ze fänken. Vergläicht béid Poelen an all geroutéiert privat Netzwierk op engem Platz, ier Dir ee vun de Servicer konfiguréiert.

Gemeinsam Hardware heescht net gemeinsam Umellungsdaten, an en Clientzertifikaat aus dem Pool vum Fernzougang soll net géint den Ausgangsprovider benotzbar sinn. Getrennte Material mécht och d’Widderruffung eng lokal Entscheedung amplaz en Event fir déi ganz Flott.

Halt d’Äntwerten vum Server um WAN-Wee

D’Äntwerten, déi den Apparat selwer generéiert, sinn dat éischt Affer vun enger lieweger Standardroute. Wann de Kapselpaket vun engem roaming Benotzer ukënnt, ass d’Äntwert lokal entstanenen Traffic an et muss iwwer dee Interface erausgoen, duerch deen dee Benotzer erakoum ass. Wann de ausgängege Client eng Standardroute installéiert huet, déi se fänkt, gëtt d’Äntwert an de falschen Tunnel a sëtzt d’Sessioun, während den Déngscht nach gesond ausgesäit.

Et gëtt keng eenzeg Këscht ze haken, déi dat kläert, well d’Entscheedung drëms geet, wéi en Traffic de ausgängege Client däerf fänken. Entweder zitt Dir keng Route a steiert nëmmen dat, wat Dir auswielt, oder zitt Route a setzt d’Ausname bäi, déi dem Apparat seng eege Servicer um Lafe halen. Schreift d’Wiel niewent d’Instanz, soss wäert déi nächst Persoun déi aner unhuelen.

netstat -rn | head -20
pfctl -sr | grep -i vpn
ifconfig | grep -A3 ovpn

Liest d’Routingstabelle nom längsten Treffer an net no der Rei, an där Dir eppes konfiguréiert hutt. D’Fro ass, wéi en Aschreiwung fir d’Adress vum Ausgangspartner gewënnt a wéi eng fir d’Äntwert vum ageenden Déngscht, an déi zwou Äntwerten kënnen ënnerschiddlech sinn.

Loosst den ausgängegen Tunnel säin eegenen Endpunkt net opfressen

Den ausgängege Client muss d’ëffentlech Adress vu sengem Partner erreechen, fir den Tunnel iwwerhaapt opzebauen. Wann déi Adress selwer an den Tunnel geroutéiert gëtt, jagt de Client säin eegene Schwanz: den Transport kënnt ni erop, oder en kënnt erop a fält de Moment wou d’Route installéiert gëtt. De Log gesäit aus wéi en Authentiséierungs-Timeout an net wéi e Routingfeeler, dofir verdéngt d’Route déi éischt Kontroll.

Kontrolléiert d’Route virun den Umellungsdaten an nach eng Kéier, nodeems den Tunnel erop ass, well en Aschreiwung beim Start richteg an eng Minutt méi spéit falsch ka sinn. D’Adress vum Partner muss op den normale WAN-Wee weisen, ni op den Tunnelsapparat. Soubal den Transport stabil ass, geet déi interessant Fro op de virugeschéckten Traffic iwwer, dat ass déi nächst Entscheedung.

netstat -rn | grep -F '198.51.100.10'
traceroute -n 198.51.100.10

Wielt, wéi eng Benotzer den Ausgang kréien

D’Quellpolitik gehéiert zum Agang, wou den Traffic an den Apparat erakënnt, also wielt de Pool vum Fernzougang oder méi enk Identitéiten dobannen. Erhaalt d’privat Destinatiounen an d’Ausname vun der Verwaltung, déi ni op den Ausgang geschéckt däerfen, a setzt déi Reegele virun déi breet. Duerno brauch de Ausgangswee seng eege Iwwersetzung oder eng geroutéiert Retourarrangement, wat fir déi meescht Designen ausgängegen NAT um Ausgangsinterface heescht, deen de Pool deckt. D’Iwwersetzung wielt keen Ausgang; se schreift nëmmen ëm, wat schonn eraus ass, dofir ännert eng NAT-Reeg op engem onbedeelegte WAN näischt un der Auswiel.

Bestätegt, datt de wäiten Enn de virugeschéckten Traffic aus dësem Design erlaabt, well een Deeler vun de Provideren et mécht an anerer net. Den Ënnerscheed weist sech als Tunnel, deen sech verbënnt an näischt dréit, wat een einfach als lokale Feeler liese kann. Test d’dräi Flëss getrennt, well se onofhängeg feelen, an zwee vun dräi ass en hallef gebauten Design.

openvpn --config user07.ovpn
curl -sS https://ifconfig.me
curl --interface 10.10.10.1 -sS https://intranet.corp.example/health

Den éischte Kommando ass déi bënnecht Verbindung vum roaming Benotzer, an en fonctionnéiert, wann de Client mellt, datt d’Initialiséierungssequenz fäerdeg ass. Den zweeten, vun deem ugeschlossene Laptop ausgefouert, sollt d’Adress vum Ausgangsprovider mellen amplaz Är WAN-Adress. Den drëtten leeft um Apparat, gebonnen un eng Adress aus dem Pool, an en test d’Quellpolitik fir de virugeschéckten Traffic ouni iwwerhaapt e wäite Benotzer abezéien. Wann en amplaz aus dem WAN äntwert, huet d’Politik net gepasst, an eng NAT-Beaarbechtung mécht e Auswahlproblem net gutt.

Entscheet, wat geschitt, wann den Ausgang feelt

Schreift d’Feelerverhalen op, ier et geschitt: wann den ausgängegen Tunnel fält, ginn d’Benotzer dann op de normale WAN zréck oder si se blockéiert, bis den Ausgang zréckkënnt? Béid Äntwerten si verdedegbar, an den Apparat wielt net fir Iech. Eng ewechgeholl Route oder eng Politik, déi op en dout Gateway weist, produzéiert net automatesch en alleguer blockéierte Resultat. Wann Dir Blockéierung wëllt, muss d’Politik dat ausdrécklech soen, an et muss getest ginn, andeems een den Ausgang ewech hëlt, an net duerch Nodenken driwwer. Wann Dir Zréckfall wëllt, publizéiert dat fir d’Benotzer, well de Traffic, deen onbemierkt de normale Wee hëlt, genee deen Traffic ass, vun deem een geduecht huet, en wier ofgedeckt.

Deaktivéiert d’Clientinstanz, kuckt, wat en ugeschlossene Benotzer nach erreecht, a start se dann nach eng Kéier. Eng Ufro, déi ofleeft, ass de komplett blockéierte Resultat, deen Dir gefrot hutt; eng, déi mat der WAN-Adress äntwert, ass de Zréckfall, deen Dir net dokumentéiert hutt. Widderhëlt d’Kontroll fir IPv6 a fir DNS, well eng Politik, déi fir IPv4 geschriwwe gouf, seet näischt iwwer AAAA-Traffic, an en Resolver, deen een vun den Tunnelen duerchdréckt, äntwert do wou d’Ufro tatsächlech erausgeet.

pfSsh.php playback svc stop openvpn client 2
curl --max-time 6 -sS https://ifconfig.me
pfSsh.php playback svc start openvpn client 2

Dem Netgate säi Rezept fir geroutéierten OpenVPN weist, wéi Quellpolitik, Interface-Zoudeelung an ausgängeg Iwwersetzung zesummenpassen, an hire Site-zu-Site Ëmfang ass deen Deel, deen een net ganz soll kopéieren. Wat en Iech awer net wäert soen, ass wéi eng vun den dräi Konditiounen uewen Ären eegenen Design schonn gebrach huet.